让个人信息保护有理有据

（原标题：让个人信息保护有理有据）

经过三次审议，8月20日，十三届全国人大常委会第三十次会议表决通过了个人信息保护法。据悉，个人信息保护法将于2021年11月1日起施行。

个人信息的使用场景繁杂多样，尤其是随着移动互联网大范围普及，平台经济、共享经济蓬勃兴起，对个人数据的采集、使用边界有了更多的争议与思考。一方面，采集数据变得更容易，“抓取”一词早已不再新鲜；另一方面，数据的价值有了指数级增长，使用个人信息的诱惑力不断增大。互联网数据泄露、个人信息被出售、邮件地址及密码被窃……有关个人信息使用违法违规现象不断出现，甚至威胁到个人财产安全和社会稳定。

此前，监管方面对于个人信息保护有一些严格规定，比如强调APP运营者应按“合法、正当、必要”收集个人信息，最新编纂的民法典也包含为人脸在内的个人信息搭建保护网。不过总体来看，个人信息收集、使用的规则不够清晰透明和具体，且原有法律中防御性的、事后救济性的隐私权难以完全突破当下困境，个人不堪其扰的状况亟待改变。

作为国内首部专门针对个人信息保护的法律，个人信息保护法明晰概念、统一裁判标准，并构建了以“告知——同意”为核心的个人信息处理规则，圈定生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息为敏感个人信息，旨在在未发生隐私侵害事件之前，就通过行为规范方式，明确个人信息处理的方式，包括知情同意、最小化、目的特定、保障安全与可问责等。

过去，用户面临的尴尬境地是“同意”往往等同于“不得不”。例如，在绝大部分APP中，如果不进行相关条款的勾选，用户将无法安装和使用。而这真的是同意之后的选择吗？关于授权和限权的问题终于在个人信息保护法中框定，对企业行为进行约束。

另外，为了让法律“长牙齿”，个人信息保护法强调，情节严重的违法行为，由省级以上监管部门责令改正，没收违法所得，并处5000万元以下或者上一年度营业额5%以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。整体来看，这些措施较为全面地规定了对侵犯个人信息权益的行政、民事法律责任，提高违法成本，让不法分子投鼠忌器，让法律掷地有声。

在上述情况下，不少平台将面临新挑战，比如，自动化决策、精准营销在一定程度上遇到制约，以私利换便利的观念迫切得到改变。企业应当重新审视用户数据边界所在，利用技术手段做到脱敏与匿名化，在法律框架内使用数据。事实上，关于这一点此前社会上争论颇多，不少人认为对个人信息的保护会使数字经济发展陷入困境。然而必须强调，数据的社会化便捷了人民群众生活，在某种程度上还成为经济发展和社会进步的强大动力，但不应让行业的发展建立在对个人权益的“踩踏”之上，这也是个人信息保护法立法的根本所在。健康、合规仍是每个行业发展的前提。规则明确，产业才能走向良性循环的道路。

欧美等发达国家和地区近几年相继对个人信息使用和保护建章立制，足见全球大环境快速变化之下个人信息安全的重要程度。个人信息保护法的出台，有助于建立长效机制，从而彻底扭转个人信息被侵害的局面。而长远看，有法可依、有法必依、违法必究，也是法治国家建设的重要一步。